Opće smjernice za provedbu obveze obavještavanja o značajnim incidentima donijeli su nadležni CSIRT-ovi na temelju članka 72. Uredbe. Dokument je precizniji od većine tekstova koji o rokovima kruže, i sadrži nekoliko odredbi koje mijenjaju planiranje.
Pet vrsta obavijesti, ne tri
Uredba u člancima 65. do 71. propisuje pet vrsta obavijesti:
| Obavijest | Rok | Napomena |
|---|---|---|
| Rano upozorenje | 24 sata | Bez odgode, od saznanja za značajan incident |
| Početna obavijest | 72 sata | Bez odgode, od saznanja |
| Privremeno izvješće | 48 sati do 7 dana | Samo na zahtjev nadležnog CSIRT-a |
| Završno izvješće | 30 dana | Od dostave početne obavijesti |
| Izvješće o napretku | svakih 30 dana | Ako incident još traje |
Završno izvješće ne teče od saznanja nego od dostave početne obavijesti. Organizacija koja početnu obavijest pošalje 70. sat ima 30 dana od tog trenutka, ne 30 dana od trenutka kad je incident otkrila. Razlika je do tri dana i može odlučiti o tome jeste li u roku.
Ako incident još traje kad rok istekne, umjesto završnog izvješća šalje se izvješće o napretku, i tako svakih idućih 30 dana dok incident ne završi.
Iznimka za pružatelje usluga povjerenja
Prema članku 68. Uredbe, pružatelji usluga povjerenja ne dostavljaju rano upozorenje. Umjesto toga, početnu obavijest dostavljaju u roku od 24 sata. Ostali rokovi ostaju isti.
Svih pet datuma za konkretan incident dobijete u kalkulatoru rokova, uz obračun iznimke za pružatelje usluga povjerenja i usporedne prijave AZOP-u.
Prijava se predaje preko platforme PiXi
Obavještavanje se provodi ispunjavanjem web obrazaca na Nacionalnoj platformi za prikupljanje, analizu i razmjenu podataka o kibernetičkim prijetnjama i incidentima, dostupnoj na pixi.carnet.hr. Pristup imaju isključivo ovlaštene osobe, putem Nacionalnog identifikacijskog i autentifikacijskog sustava.
Pristup platformi ovisi o nacionalnom sustavu prijave. Ako se u trenutku incidenta ispostavi da nitko nema pristup ili da ovlaštena osoba više nije zaposlena, sat teče dok se to rješava. Provjerite tko ima pristup i imenujte zamjenu prije nego što zatreba.
Ako platforma nije dostupna zbog tehničkih poteškoća, održavanja ili nedostupnosti sustava prijave, obavijest se šalje ispunjavanjem obrazaca i slanjem na adresu nadležnog CSIRT-a. Nakon što platforma ponovno postane dostupna, podaci se moraju unijeti i u nju.
Pravilo o ponovljenim incidentima
Članak 62. Uredbe propisuje da se dva ili više incidenta s istim temeljnim uzrokom u razdoblju od šest mjeseci, koji zajedno ispunjavaju najmanje jedan kriterij za značajan incident, za potrebe obavještavanja smatraju jednim značajnim incidentom.
Šalje se jedna obavijest koja obuhvaća sve te incidente, uz izričitu napomenu u opisu da je riječ o obavijesti po članku 62.
To znači da niz manjih incidenata koje ste pojedinačno ocijenili beznačajnima može zajedno prijeći prag. Praktična posljedica: evidencija svih incidenata, i onih ispod praga, nije formalnost nego preduvjet za ispunjenje ove obveze. Bez nje ne možete znati da imate ponovljeni uzrok.
Više sektora, više CSIRT-ova
Nadležnost CSIRT-a određuje se prema sektoru, sukladno Prilogu III. Zakona. Subjekt kategoriziran u jednom sektoru uvijek obavještava CSIRT nadležan za taj sektor.
Subjekt kategoriziran u više sektora, kod incidenta koji obuhvaća poslovanje u više njih, može poslati jednu obavijest za sve obuhvaćene sektore ako je za njih nadležan isti CSIRT. Ako nije, obavijesti idu odvojeno.
Posebna pravila za digitalne pružatelje
Za subjekte iz članka 22. Zakona koji se vode i u posebnom registru - pružatelje usluga DNS-a, registre vršnih domena, pružatelje usluga u oblaku i podatkovnih centara, mreža za isporuku sadržaja, upravljanih i upravljanih sigurnosnih usluga, internetskih tržišta, tražilica, platformi društvenih mreža te usluga povjerenja - primjenjuju se posebna pravila za utvrđivanje značajnosti prema Provedbenoj uredbi Komisije (EU) 2024/2690.
Ako je incidentom zahvaćena i povreda osobnih podataka, usporedno teče prijava Agenciji za zaštitu osobnih podataka u roku od 72 sata prema članku 33. Opće uredbe. Ta dva postupka ne zamjenjuju jedan drugoga i ne teku jedan za drugim.
Izvori
Ne znate gdje stojite?
Pola sata razgovora i ništa vas ne obvezuje. Kad završimo, znate što trebate napraviti i kojim redom.